CVE-2026-108082

Nome do Software Vulnerável e Versões Afetadas symfony/http-foundation versões 4.1.0-BETA1 até 5.4.53 symfony/http-foundation versões 6.0.0-BETA1 até 6.4.45 symfony/http-foundation versões 7.0.0-BETA1 até 7.4.18 symfony/http-foundation versões 8.0.0-BETA1 até 8.1.6

Description A função HeaderUtils::split() analisa valores de cabeçalho usando um padrão onde uma alternativa de token corresponde a espaços em branco seguidos por um lookbehind. Quando uma sequência de espaços em branco é colocada antes de um separador, o motor tenta dividir os espaços entre as iterações de formas exponenciais. Isso ocorre no HeaderBag ao processar o cabeçalho Cache-Control durante a construção de uma Request, tornando qualquer aplicação que lide com requisições HTTP acessível sem autenticação. Uma requisição com um cabeçalho especialmente manipulado pode causar alto consumo de CPU; por exemplo, 17 espaços em um cabeçalho de 8 KB podem custar quase um segundo de CPU. Quando 18 ou mais espaços são utilizados, o preg match all() atinge o pcre.backtrack limit, fazendo com que o split() retorne um array vazio e descarte silenciosamente todas as diretivas do cabeçalho.

Recommendations Atualize o symfony/http-foundation para a versão 5.4.54 ou posterior. Atualize o symfony/http-foundation para a versão 6.4.46 ou posterior. Atualize o symfony/http-foundation para a versão 7.4.19 ou posterior. Atualize o symfony/http-foundation para a versão 8.1.7 ou posterior.